공정거래위원회를 사칭한 피싱 공격이 시도된 정황이 포착됐다. 업계 관계자들은 이번에도 북한 해킹조직 ‘코니(Koni)’의 소행이라고 지목했다.
해당 공격은 2일 메일을 통해 악성파일을 유포하는 방식으로 진행됐다. 메일 제목은 '[공정거리위원회] 서면 실태조사 사전예고 안내통지문'이다. 내용을 살펴보면, 공정거래법 조항을 언급하면서 사용자의 협조를 구하는 내용으로 구성됐다.
각각의 첨부파일 명은 ▲결제대금예치 이용 확인증(전자상거래 등에서의 소비자보호에 관한 법률 시행규칙).hwp.lnk ▲부당한 전자상거래 신고서(공정거래위원회 회의 운영 및 사건절차 등에 관한 규칙).pdf ▲서면자료 요청.txt ▲통신판매업 신고증(전자상거래 등에서의 소비자보호에 관한 법률 시행규칙).hwp.lnk 등 이다.
4개의 파일 중 2개의 파일은 한글(.hwp) 파일을 위장한 바로가기(.lnk) 파일로, 사용자를 속이기 위하여 아이콘을 한글 아이콘으로 위장했다. 파일명 뒤에 ‘.hwp’를 붙여 부주의한 사용자가 한글 파일처럼 오인하도록 유도한다.
2개의 바로가기 파일 속성 내에는 악성 명령어가 포함되어 있고, 공격자는 분석을 회피하기 위하여 파일 속성 내 악성 명령어 앞에 여러 공백 코드를 추가해 육안으로는 실제 명령어를 확인하기 어렵도록 만들어 놓았다.
공격자는 최종적으로 실행중인 프로세스 목록, 호스트 정보, 다운로드 폴더 목록, 바탕화면 목록, 사용자 IP정보 등을 탈취하게 된다.
업계 전문가는 탈취수법이나 공격 행태 등이 이전에 국세청을 사칭했던 북 해커조직 코니의 소행과 일치한다는 의견이다.
앞서 1월 코니는 국세청을 사칭해 ‘세무조사 출석요구 안내 통지문’이라는 제목의 해킹 메일을 발송해 사용자들의 정보 탈취를 시도한 바 있다.
보안업계 전문가는 "북한 배후 해킹 조직들의 공격이 날로 교묘해지고 빈번해 지고 있다"며 "사용자들의 각별한 주의를 당부한다"고 말했다.
이유정 기자 uzzoni@chosunbiz.com